Confira as novas regras sobre o tratamento de dados pessoais por candidaturas e partidos

Em fevereiro deste ano, a Resolução TSE nº 23.610/2019, que trata da propaganda eleitoral, foi atualizada pela Resolução TSE nº 23.732/2024. O normativo trouxe novas regras para o tratamento de dados pessoais das cidadãs e dos cidadãos durante o período de campanha eleitoral. 

Desde 2021, a resolução determina que o tratamento de dados pessoais para fins de propaganda eleitoral deve respeitar a finalidade que originou a coleta da informação, observadas, além dos princípios definidos pela resolução, as demais normas previstas na Lei Geral de Proteção de Dados (LGPD). 

Mas o que é tratamento de dados pessoais? 

De acordo com a LGPD, é toda operação realizada com dados pessoais, que são informações relacionadas à pessoa natural identificada ou identificável. Envolve coleta, recepção, classificação, utilização, acesso, distribuição, armazenamento, processamento e comunicação desses dados, entre outros. 

Canal para orientação e descadastramento de dados 

Nas Eleições Municipais de 2024, candidatas, candidatos, partidos, federações e coligações devem disponibilizar um canal de comunicação que permita aos titulares a confirmação da existência de tratamento de seus dados e a formulação de pedidos de eliminação ou descadastramento.  

Tanto o canal de comunicação quanto o encarregado pelo tratamento de dados pessoais – que é a pessoa indicada para atuar como intermediário da comunicação entre o controlador, os titulares e a Autoridade Nacional de Proteção de Dados (ANPD) – serão divulgados pela Justiça Eleitoral juntamente com as informações das candidaturas. 

Para fins de propaganda eleitoral, o tratamento dos dados tornados manifestamente públicos pela titular ou pelo titular deverá ser devidamente comunicado, garantindo à pessoa detentora das informações o direito de se opor ao modo como essas são tratadas pelas agremiações e candidaturas. 

Municípios com menos de 200 mil eleitores 

Em eleições municipais realizadas em cidades com menos de 200 mil eleitoras e eleitores, os partidos, as federações, as coligações e as candidaturas serão considerados agentes de tratamento de pequeno porte e, por isso, estão dispensados de indicar encarregado pelo tratamento de dados pessoais. O canal de comunicação com o eleitorado, contudo, ainda é uma obrigação das legendas e das candidatas ou dos candidatos. 

Nesses casos, também poderão estabelecer política simplificada de segurança da informação que contenha requisitos essenciais e necessários para o tratamento de dados pessoais, com o objetivo de protegê-los de acessos não autorizados e de situações (acidentais ou ilícitas) de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado.  

Obrigações de provedores, partidos, federações e coligações 

Conforme prevê a Resolução TSE nº 23.610/2019, na propaganda eleitoral, o tratamento de dados pessoais sensíveis ou de dados pessoais que possam revelá-los exige o consentimento específico, expresso e destacado da pessoa que os detém.  

Cabe aos provedores de aplicação, aos partidos, às federações, às coligações e às candidaturas, quando realizarem tratamento de dados pessoais para fins de propaganda eleitoral: 

• garantir o acesso facilitado às informações sobre o tratamento de dados previsto no artigo 9º da LGPD; 
• assegurar o cumprimento dos direitos previstos nos artigos 17 a 20 da lei, em especial quanto aos dados utilizados para realizar perfilamento de usuários com vistas ao microdirecionamento da propaganda eleitoral; 
• adotar as medidas necessárias para a proteção contra a discriminação ilícita e abusiva, nos termos do artigo 6º da LGPD; 
• usar os dados exclusivamente para as finalidades explicitadas e consentidas pela pessoa titular; 
• implementar medidas de segurança técnica e administrativa para proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas que possam levar à destruição, perda, alteração, comunicação ou difusão destes, nos termos do artigo 46 da referida legislação; e 
• notificar, em caso de incidentes de segurança que possam acarretar riscos ou danos relevantes aos titulares dos dados, a autoridade nacional e as pessoas afetadas, nos termos do artigo 48 da LGPD. 

Além disso, é dever das agremiações, federações, coligações e candidaturas exigir e fiscalizar o cumprimento das regras por parte das pessoas e empresas contratadas pelas campanhas eleitorais. O descumprimento acarretará a remoção do conteúdo veiculado e a comunicação do fato à ANPD, sem prejuízo da eventual apuração de ilícitos ou crimes eleitorais.  

Compete à ANPD avaliar a aplicação das sanções previstas no artigo 52 da LGPD, que vão desde a advertência até a proibição total do exercício de atividades relacionadas ao tratamento de dados. 

Manutenção de registro das operações 

A resolução também determina que seja mantido um registro das operações de tratamento de dados que contenha ao menos: 

• o tipo e a origem das informações;  
• as categorias de titulares;  
• a descrição do processo e da finalidade;  
• o fundamento legal;  
• a duração prevista para o tratamento;  
• o período de armazenamento;  
• a descrição do fluxo de compartilhamento;  
• os instrumentos contratuais que especifiquem o papel e as responsabilidades de controladores e operadores; e 
• as medidas de segurança utilizadas. 

O registro de operações deverá ser conservado durante o período eleitoral, permanecendo a obrigação em caso de ajuizamento de ação na qual se apure irregularidade ou ilicitude no tratamento de dados pelas campanhas. Nesses casos, a autoridade eleitoral poderá determinar tanto a exibição do registro quanto de documentos que o corroborem. 

Elaboração de relatório de impacto 

Nas eleições para os cargos de presidente, governador, senador e prefeito das capitais, a Justiça Eleitoral poderá determinar a elaboração de relatório de impacto à proteção de dados nas situações em que o tratamento represente alto risco, ou seja, quando for realizado em larga escala (número de titulares equivalente a, no mínimo, 10% do eleitorado apto da circunscrição) e envolver o uso de dados pessoais sensíveis ou de tecnologias inovadoras ou emergentes para perfilamento de eleitores. 

O relatório de impacto deverá ser elaborado sob responsabilidade conjunta das candidaturas, do partido, da federação ou da coligação e deve conter no mínimo: 

• descrição dos tipos de dados coletados e tratados; 
• riscos identificados; 
• metodologia usada para o tratamento e para a garantia de segurança das informações; e 
• medidas de salvaguarda e instrumentos adotados para mitigação de riscos. 

TSE